Kiến thức CRM
CRM là gì? Tìm hiểu hệ thống quản lý khách hàng CRM
Đánh giá rủi ro xử lý dữ liệu: Quy trình chuẩn (cập nhật 2026)
Đánh giá rủi ro xử lý dữ liệu là gì, ai bắt buộc thực hiện và khác gì DPIA? Hướng dẫn quy trình 5 bước, hồ sơ cần lập theo Luật Dữ liệu và Nghị định 165/2025.
Dữ liệu càng có giá trị thì rủi ro rò rỉ, sai lệch hay bị khai thác trái phép càng lớn, và từ khi Luật Dữ liệu có hiệu lực, việc nhận diện những rủi ro này đã trở thành nghĩa vụ pháp lý. Tuy vậy, nhiều doanh nghiệp vẫn nhầm đánh giá rủi ro xử lý dữ liệu với hồ sơ đánh giá tác động dữ liệu cá nhân, hoặc chưa biết bắt đầu từ đâu. Bài viết làm rõ khái niệm, đối tượng áp dụng và quy trình thực hiện theo quy định mới nhất năm 2026.
1. Đánh giá rủi ro xử lý dữ liệu là gì?
Đánh giá rủi ro xử lý dữ liệu là hoạt động nhận diện, phân tích và xếp mức độ các nguy cơ có thể gây hại cho dữ liệu trong quá trình thu thập, lưu trữ, sử dụng, chia sẻ và xóa, từ đó đưa ra biện pháp kiểm soát phù hợp. Nghĩa vụ này được quy định tại Điều 25 Luật Dữ liệu số 60/2024/QH15 và hướng dẫn chi tiết tại Điều 15, Điều 17 Nghị định 165/2025/NĐ-CP.
Khác với hoạt động quản trị rủi ro chung của doanh nghiệp, đánh giá rủi ro xử lý dữ liệu tập trung vào chính tài sản dữ liệu và các hoạt động tác động lên nó. Kết quả không chỉ là một danh sách rủi ro, mà là căn cứ để doanh nghiệp quyết định đầu tư vào biện pháp bảo vệ nào trước, đồng thời là bằng chứng tuân thủ khi cơ quan chức năng kiểm tra.
2. Đối tượng nào bắt buộc phải đánh giá rủi ro xử lý dữ liệu?
Mức độ bắt buộc phụ thuộc vào vai trò của tổ chức và loại dữ liệu đang xử lý.
2.1. Chủ sở hữu và chủ quản dữ liệu
Luật Dữ liệu đặt trách nhiệm bảo vệ dữ liệu lên cả chủ sở hữu (bên quyết định việc sử dụng dữ liệu) và chủ quản (bên trực tiếp xây dựng, vận hành dữ liệu). Trong đó, chủ quản là bên được Nghị định 165/2025 giao trực tiếp việc đánh giá rủi ro và lập báo cáo, vì họ nắm rõ nhất hạ tầng và cách dữ liệu được xử lý trên thực tế. Chi tiết đầy đủ các nghĩa vụ có trong bài trách nhiệm của chủ quản dữ liệu.
2.2. Tổ chức xử lý dữ liệu cốt lõi, dữ liệu quan trọng
Đây là nhóm có nghĩa vụ nặng nhất. Theo Điều 17 Nghị định 165/2025, chủ quản dữ liệu cốt lõi và dữ liệu quan trọng phải đánh giá rủi ro đối với hoạt động xử lý dữ liệu hằng năm, lập báo cáo theo mẫu và gửi cơ quan có thẩm quyền. Dữ liệu cốt lõi và dữ liệu quan trọng là các loại dữ liệu có thể ảnh hưởng đến quốc phòng, an ninh, kinh tế vĩ mô hoặc lợi ích công cộng, được xác định theo danh mục do Thủ tướng Chính phủ ban hành.
2.3. Doanh nghiệp xử lý dữ liệu thông thường
Với dữ liệu không thuộc hai nhóm trên, doanh nghiệp không phải nộp báo cáo định kỳ nhưng vẫn có nghĩa vụ bảo vệ dữ liệu theo Luật Dữ liệu. Đánh giá rủi ro lúc này là cách thực tế nhất để chứng minh doanh nghiệp đã áp dụng biện pháp phù hợp nếu xảy ra sự cố, đồng thời giúp chuẩn hóa cách quản lý dữ liệu khách hàng hằng ngày. Nếu dữ liệu có thông tin cá nhân, doanh nghiệp còn phải lập thêm hồ sơ đánh giá tác động theo Luật Bảo vệ dữ liệu cá nhân.
3. Phân biệt đánh giá rủi ro xử lý dữ liệu với đánh giá tác động (DPIA)
Hai hoạt động này thuộc hai hệ thống luật khác nhau: đánh giá rủi ro nhìn từ góc độ an toàn của dữ liệu, còn đánh giá tác động nhìn từ góc độ quyền lợi của người có dữ liệu. Phần nghĩa vụ liên quan đến dữ liệu cá nhân được hướng dẫn riêng trong bài quản trị dữ liệu khách hàng đúng luật.
|
Tiêu chí |
Đánh giá rủi ro xử lý dữ liệu |
Đánh giá tác động xử lý dữ liệu cá nhân (DPIA) |
|
Căn cứ pháp lý |
Điều 25 Luật Dữ liệu 60/2024/QH15; Điều 15, 17 Nghị định 165/2025/NĐ-CP |
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Nghị định 356/2025/NĐ-CP |
|
Phạm vi dữ liệu |
Mọi dữ liệu số, trọng tâm là dữ liệu cốt lõi và dữ liệu quan trọng |
Chỉ dữ liệu cá nhân |
|
Trọng tâm đánh giá |
Nguy cơ đối với dữ liệu: an ninh mạng, truy cập, chia sẻ, chất lượng |
Tác động của việc xử lý lên quyền của chủ thể dữ liệu |
|
Bên thực hiện |
Chủ quản, chủ sở hữu dữ liệu |
Bên kiểm soát, bên xử lý dữ liệu cá nhân |
|
Tần suất |
Hằng năm với dữ liệu cốt lõi, quan trọng |
Lập khi bắt đầu xử lý, cập nhật khi có thay đổi |
|
Nơi nhận hồ sơ |
Cơ quan có thẩm quyền (Bộ Công an hoặc Bộ Quốc phòng tùy lĩnh vực) |
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an |
Trong thực tế, một doanh nghiệp vận hành hệ thống có cả dữ liệu quan trọng lẫn dữ liệu cá nhân sẽ phải thực hiện cả hai. Cách làm hiệu quả là dùng chung một bước kiểm kê dữ liệu, sau đó tách ra hai hồ sơ theo đúng mẫu của từng văn bản.
4. Các loại rủi ro cần nhận diện khi xử lý dữ liệu
Điều 15 Nghị định 165/2025/NĐ-CP xác định các nhóm rủi ro chính trong xử lý dữ liệu. Đây là khung tối thiểu mà bản đánh giá nào cũng cần bao phủ, và cũng là cơ sở để chọn hệ thống CRM bảo mật dữ liệu đáp ứng đúng yêu cầu kỹ thuật.
|
Nhóm rủi ro |
Biểu hiện thường gặp |
Biện pháp phòng ngừa tiêu biểu |
|
Rủi ro quyền riêng tư |
Xử lý dữ liệu sai mục đích, thiếu sự đồng ý, không đáp ứng yêu cầu của chủ thể dữ liệu |
Rà soát căn cứ xử lý, tối thiểu hóa dữ liệu thu thập |
|
Rủi ro an ninh mạng |
Tấn công, xâm nhập, mã độc, rò rỉ dữ liệu |
Giám sát xâm nhập, mã hóa, sao lưu thường xuyên |
|
Rủi ro nhận dạng và kiểm soát truy cập |
Tài khoản dùng chung, cấp quyền quá rộng, không thu hồi quyền khi nhân sự nghỉ việc |
Phân cấp quyền theo nguyên tắc đặc quyền tối thiểu, xác thực đa yếu tố |
|
Rủi ro chia sẻ dữ liệu |
Chuyển dữ liệu cho đối tác không kiểm soát được, chia sẻ vượt phạm vi thỏa thuận |
Kiểm tra năng lực bên nhận, ràng buộc trách nhiệm bằng hợp đồng |
|
Rủi ro chất lượng dữ liệu |
Dữ liệu sai, trùng lặp, thiếu, lỗi thời |
Kiểm tra định kỳ, chuẩn hóa và xác thực dữ liệu |
Nhóm rủi ro kiểm soát truy cập thường gây hậu quả nhanh nhất, vì đây là con đường dẫn đến thất thoát dữ liệu khách hàng khi quyền không được thu hồi đúng lúc. Ngoài năm nhóm trên, doanh nghiệp nên bổ sung rủi ro vận hành như sự cố hạ tầng, mất điện, lỗi sao lưu dữ liệu trên CRM. Những rủi ro này không trực tiếp làm lộ dữ liệu nhưng có thể khiến dữ liệu bị mất hoặc gián đoạn dịch vụ.
5. Quy trình đánh giá rủi ro xử lý dữ liệu 5 bước
Quy trình dưới đây kết hợp yêu cầu của Nghị định 165/2025 với phương pháp của chuẩn ISO/IEC 27005 về quản lý rủi ro an toàn thông tin. Mỗi bước có một đầu ra cụ thể để đưa vào hồ sơ.
5.1. Bước 1: Kiểm kê và phân loại dữ liệu
Lập danh mục toàn bộ dữ liệu đang xử lý: loại dữ liệu, nguồn thu thập, nơi lưu trữ, ai được truy cập và dữ liệu được chia sẻ cho ai. Với data khách hàng, cần tách rõ nhóm thông tin định danh và nhóm thông tin hành vi. Sau đó gắn nhãn từng nhóm là dữ liệu cốt lõi, dữ liệu quan trọng, dữ liệu cá nhân hay dữ liệu thông thường. Đầu ra: sơ đồ luồng dữ liệu và bảng phân loại.
5.2. Bước 2: Nhận diện rủi ro
Đối chiếu từng luồng dữ liệu với năm nhóm rủi ro ở mục 4 để tìm điểm yếu. Nguồn thông tin gồm kết quả quét lỗ hổng, nhật ký truy cập, lịch sử sự cố và phỏng vấn bộ phận trực tiếp vận hành. Các khó khăn thường gặp trong quản lý dữ liệu khách hàng như dữ liệu phân tán nhiều nơi cũng là manh mối tốt để truy ra rủi ro. Đầu ra: danh sách rủi ro gắn với từng tài sản dữ liệu.
5.3. Bước 3: Phân tích và xếp mức rủi ro
Chấm điểm mỗi rủi ro theo hai trục: khả năng xảy ra và mức độ ảnh hưởng, mỗi trục từ 1 đến 3. Mức rủi ro bằng tích hai điểm số:
|
Khả năng xảy ra \ Ảnh hưởng |
Thấp (1) |
Trung bình (2) |
Cao (3) |
|
Cao (3) |
3 Trung bình |
6 Cao |
9 Nghiêm trọng |
|
Trung bình (2) |
2 Thấp |
4 Trung bình |
6 Cao |
|
Thấp (1) |
1 Thấp |
2 Thấp |
3 Trung bình |
5.4. Bước 4: Xây dựng phương án xử lý rủi ro
Với mỗi rủi ro, chọn một trong bốn hướng: giảm thiểu bằng biện pháp kỹ thuật hoặc quy trình, chuyển giao (bảo hiểm, thuê dịch vụ chuyên trách), né tránh bằng cách dừng hoạt động xử lý, hoặc chấp nhận nếu mức rủi ro thấp. Rủi ro mức cao và nghiêm trọng cần có người phụ trách và hạn hoàn thành rõ ràng. Đầu ra: kế hoạch xử lý rủi ro.
5.5. Bước 5: Lập hồ sơ, theo dõi và đánh giá lại
Tổng hợp kết quả vào báo cáo, trình lãnh đạo phê duyệt và gửi cơ quan có thẩm quyền nếu thuộc diện bắt buộc. Sau đó theo dõi tiến độ thực hiện kế hoạch và đánh giá lại khi có thay đổi lớn về hệ thống, đối tác hoặc sau mỗi sự cố. Đầu ra: báo cáo đánh giá rủi ro hoàn chỉnh.
6. Hồ sơ và tần suất đánh giá rủi ro xử lý dữ liệu
6.1. Báo cáo đánh giá rủi ro gồm những gì?
Với dữ liệu cốt lõi và dữ liệu quan trọng, báo cáo được lập theo mẫu kèm Nghị định 165/2025 với các nội dung chính:
-
Thông tin bộ phận phụ trách bảo vệ an toàn dữ liệu và người chịu trách nhiệm.
-
Mục đích, loại và phạm vi dữ liệu được xử lý.
-
Hệ thống quản lý bảo vệ dữ liệu, biện pháp mã hóa và sao lưu đang áp dụng.
-
Các rủi ro an toàn đã phát hiện, sự cố đã xảy ra và cách khắc phục.
Doanh nghiệp không thuộc diện bắt buộc có thể dùng cấu trúc tương tự, kèm sổ đăng ký rủi ro và kế hoạch xử lý từ bước 3, bước 4.
6.2. Bao lâu phải đánh giá một lần?
Dữ liệu cốt lõi và dữ liệu quan trọng phải đánh giá hằng năm theo Điều 17 Nghị định 165/2025. Bên cạnh đó, chủ quản phải ghi nhật ký xử lý dữ liệu trong toàn bộ quá trình và lưu nhật ký ít nhất 6 tháng, nên tính năng ghi vết và phân quyền của hệ thống đang dùng cần được bật sẵn từ đầu. Đây cũng là nguồn dữ liệu quan trọng cho lần đánh giá tiếp theo.
Ngoài lịch định kỳ, doanh nghiệp nên đánh giá lại ngay khi triển khai hệ thống mới, thay đổi nhà cung cấp cloud, mở rộng loại dữ liệu thu thập hoặc sau một sự cố an toàn dữ liệu.
7. Câu hỏi thường gặp
7.1. Doanh nghiệp nhỏ có cần đánh giá rủi ro xử lý dữ liệu không?
Có, nếu doanh nghiệp lưu trữ và xử lý dữ liệu khách hàng, nhân sự hay đối tác. Quy mô nhỏ chỉ giúp bản đánh giá gọn hơn, không loại trừ nghĩa vụ bảo vệ dữ liệu.
7.2. Có thể thuê đơn vị bên ngoài thực hiện đánh giá rủi ro không?
Có. Doanh nghiệp có thể thuê đơn vị tư vấn hoặc dịch vụ an toàn thông tin hỗ trợ. Tuy nhiên, trách nhiệm pháp lý về kết quả đánh giá và việc xử lý rủi ro vẫn thuộc về chủ quản, chủ sở hữu dữ liệu.
7.3. Đã có chứng nhận ISO/IEC 27001 thì có cần đánh giá riêng không?
Vẫn cần lập báo cáo theo đúng mẫu của Nghị định 165/2025 nếu thuộc diện bắt buộc. Dù vậy, kết quả đánh giá rủi ro theo ISO/IEC 27001 có thể tái sử dụng phần lớn, giúp rút ngắn đáng kể thời gian chuẩn bị.
7.4. Không đánh giá rủi ro xử lý dữ liệu thì bị xử lý thế nào?
Tùy tính chất và mức độ, tổ chức vi phạm quy định về bảo vệ dữ liệu có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, và phải bồi thường nếu gây thiệt hại. Nếu xảy ra sự cố mà không có hồ sơ đánh giá, doanh nghiệp cũng rất khó chứng minh mình đã thực hiện đầy đủ nghĩa vụ.
Đánh giá rủi ro xử lý dữ liệu không còn là khái niệm chỉ dành cho các tập đoàn lớn hay đơn vị nhà nước. Khi khung pháp lý về dữ liệu đã đầy đủ trong năm 2026, đây là công cụ giúp doanh nghiệp biết mình đang yếu ở đâu và có bằng chứng tuân thủ khi cần. Thay vì chờ đến kỳ báo cáo hay sau một sự cố mới bắt đầu, doanh nghiệp nên làm ngay bước kiểm kê dữ liệu. Chỉ cần biết rõ mình đang giữ những dữ liệu gì và chúng đi qua đâu, phần lớn rủi ro sẽ lộ diện và việc ưu tiên xử lý trở nên rõ ràng hơn.
Tại sao bạn nên ở lại trang web này?
Bạn không nên bỏ lỡ
Getfly CRM là nền tảng CRM toàn diện dành riêng cho SMEs, với sứ mệnh "Quản trị đơn giản - Thành công khác biệt". Hệ thống giải pháp của Getfly bao gồm: Marketing: CRM, Marketing Automation, Chăm sóc khách hàng, Social CRM, Quản trị Nhân sự, Tài chính - Kế toán… Getfly CRM là nền tảng CRM toàn diện dành riêng cho SMEs, với sứ mệnh "Quản trị đơn giản - Thành công khác biệt". Hệ thống giải pháp của Getfly bao gồm: Marketing: CRM, Marketing Automation, Chăm sóc khách hàng, Social CRM, Quản trị Nhân sự, Tài chính - Kế toán… tất cả tích hợp trên một nền tảng duy nhất, giúp doanh nghiệp tinh gọn và vận hành hiệu quả.
DÀNH RIÊNG CHO BẠN
